Teku 和 Besu 这两个以太坊客户端于 10 月 29 日发布了安全更新，以修复一个与印度数字认证机构 eMudhra 颁发的证书相关的漏洞。这些更新——Teku 26.10.3 版和 Besu 26.10.2 版——从 Docker 镜像中移除了对 eMudhra 相关证书的信任。此前，10 月 17 日已确认，eMudhra 旗下八个中间证书颁发机构使用的私钥生成时随机性不足。该漏洞可能使攻击者得以拦截验证者与外部服务之间的通信，从而窃取以太坊验证者的区块奖励。
eMudhra 证书颁发机构生成的私钥随机性不足
10 月 17 日，已确认 eMudhra 旗下八个中间证书颁发机构使用的私钥生成时随机性不足。由于可以根据公开可用的证书推断出这些私钥，攻击者可能得以签发伪装成合法证书的假证书。此后，主要网络浏览器屏蔽了受影响的证书，eMudhra 也撤销了这些证书。
攻击者可能通过证书欺骗转移验证者的区块奖励
该漏洞可能导致以太坊验证者奖励被盗。如果攻击者拦截验证者与外部服务之间的通信，并冒充合法服务提供商，区块构建费用就可能被转至攻击者的地址。如果攻击者冒充单独管理验证者私钥的外部签名服务，风险尤其严重，因为用于更改奖励接收地址的签名可能遭到滥用。
浏览器屏蔽受影响证书后，Java 默认设置仍信任这些证书
Teku 和 Besu 使用的编程语言 Java 默认不会检查证书是否已被撤销。因此，即使主要网络浏览器已屏蔽受影响的证书，一些 Teku Docker 环境仍继续信任这些证书。目前尚未报告实际攻击或盗窃事件。Teku 开发团队在一份安全公告中表示，采用默认设置运行在以太坊主网上的 Teku 节点不受影响，也无需采取额外措施。
开发者建议非 Docker 用户更新 Java 环境
开发者建议直接运行 Teku 或 Besu、而非通过 Docker 运行的操作者单独更新其 Java 环境。他们还表示，已停止支持的 Java 26 不会收到安全补丁，应替换为 Java 25。
常见问题
Teku 和 Besu 于 10 月 29 日发布了哪些安全更新？
Teku 发布了 26.10.3 版，Besu 发布了 26.10.2 版，以从 Docker 镜像中移除对 eMudhra 相关证书的信任。此前，10 月 17 日已确认存在漏洞。
攻击者如何利用 eMudhra 证书漏洞窃取以太坊验证者奖励？
攻击者可以拦截验证者与外部服务之间的通信，利用假证书冒充合法服务提供商，并将区块构建费用转至攻击者的地址。
采用默认设置运行在以太坊主网上的 Teku 节点是否需要采取措施？
不需要。Teku 开发团队在一份安全公告中表示，采用默认设置运行在以太坊主网上的 Teku 节点不受影响，也无需采取额外措施。
免责声明：以上内容(如有图片或视频亦包括在内)均为平台用户上传并发布，本平台仅提供信息存储服务，对本页面内容所引致的错误、不确或遗漏，概不负任何法律责任，相关信息仅供参考。
本站尊重他人的知识产权、名誉权等法律法规所规定的合法权益!如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到qklwk88@163.com，本站相关工作人员将会进行核查处理回复
